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T97014 D1258-31 
Verfahren und Vorrichtung zur gegenseitigen Authentisierung von 
Komponenten in einem Netz mit dem Challenge-Response-Verfahren. 

Die Erfindung betrifft ein Verfahren und Vorrichtung zur 
gegenseitigen Authentisierung von Komponenten in einem Netz mit 
dem Challenge-Response-Verfahren nach dem Oberbegriff des 
Anspruches 1. Insbesondere betrifft die Erfindung die 
gegenseitige Authentisierung einer Mobilstation gegenuber dem 
Netz und umgekehrt. 

Authentisieren dient zur Oberprtifung der Echtheit der zu 
authentisierenden Komponente. 

Stand der Technik ist das sogenannte Challenge-Response- 
Verfahren: Bei diesem wird von der authentisierenden Komponente 
(N = Netz) eine Zufallszahl (Challenge) an die zu 
authentisierende Komponente (M = Mobilstation) gesandt, die mit 
Hilfe eines Algorithmus (A) und eines geheimen, beiden 
Komponenten bekannten Schliissels K in eine Antwort (Response) 
umgerechnet wird. Im Netz N wird mit gleichem Schliissel K und 
dem gleichen Algorithmus A die erwartete Response errechnet; 
eine Ubereinstimmung der von M zuriickgesendeten mit der bei N 
errechneten Response beweist die Echtheit von M. 
Eine gegenseitige Authentisierung wird nach Stand der Technik 
dadurch erreicht, daB der obige Ablauf mit umgekehrter 
Rollenverteilung stattfindet. 

Bei dem bekannten Challenge-Response-Verfahren gibt demnach das 
Festnetz eine Challenge an die Mobilstation M und die 
Mobilstation M antwortet mit einer Response, die aus einem 
Rechenverf ahren errechnet wurde, das in der Mobilstation 
implementiert ist und zu der ein geheimer Schliissel K gehort. 
Dieser Schliissel K ist einmalig. D. h. nur diese Mobilstation 
kann' so antworten, wie es von ihr erwartet wird, sofern sie 
"echt" = authentisiert ist. Eine andere Mobilstation (M) kann 
diesen Schliissel nicht simulieren. 
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Nachteil des bisherigen Verfahrens ist, dafi das gesamte 
Authentisierungsverf ahren nur und ausschliefilich in der AUC 
(Authentisierungszentrale) , das heifit praktisch in der 
Rechenzentrale, verifiziert werden kann. 

Aus Sicherheitsgrtinden hat es sich namlich in 
Systemarchitekturen als vorteilhaft erwiesen, A und K an 
zentraler Stelle (im Authentication Center = AUC) zu verwalten, 
wobei der authentisierenden (die Echtheitsprufung 
durchfuhrenden) Stelle N zum Zwecke der Authentisierung nur 
Challenge/Response-Paare im voraus (ggf . mehrere auf Vorrat) 
ilbertragen werden* 

Die von der AUC in das Netz (auf Anforderung des Netzes in Form 
eines sogenannten „Duplet Request") iibergebenen 
Challenge/Response-Paare werden also in grofiem Umfang bereits 
schon „auf Vorrat" errechnet und wenn wahrend des 
Authentisierungsvorgangs die Antwort (Response) von der 
Mobilstation M kommt, werden beide Anworten verglichen. Bei 
Ubereinstimmung ist damit das Authentisierungsverf ahren der 
Mobilstation M .gegenuber dem Netz N erf olgreich beendet 

Bei den bekannten Verfahren des Standes der Technik ist demnach 
vorgesehen, dafi sich die Mobilstationen gegenuber dem Netz 
authentisieren. Es besteht damit die Gefahr, dafi von Unbefugten 
das Netz simuliert wird und dafi damit die betreffende 
Mobilstation M an das simulierte Netz „angelockt" wird und 
hierbei der Mobilstation M vorgespiegelt wird, es handele sich 
hierbei urn das „richtige" Netz N. Ftir diesen unerlaubten Fall 
wurde sich die M gegenuber dem simulierten Netz N 
authentisieren und damit kann der unbefugte Betreiber des 
simulierten Netzes nichtof f entliche Daten aus dieser 
Mobilstation M abrufen. 

Als Beispiel sei das GSM-Netz genannt, das bisher nur eine 
einseitige Authentisierung, vornimmt (M authentisiert sich 



gegenuber N) . Beim ferner bekannten TETRA-Standard, ist eine 
zweiseitige Authentisierung erlaubt. 

Zur besseren Verdeutlichung der spater verwendeten Begriffe 
^Challenge 1, Response 1 und Challenge 2, Resonse 2", wird 
nachfolgend das Verfahren erlautert: 

Die Challenge 1 dient der Authentication der Mobilstation M 
gegenuber dem Netz N. Sobald diese Authentication erfolgreich 
abgeschlossen wurde, fordert die Mobilstation M eine umgekehrte 
Authentifizierung, in der Weise, dafi jetzt gepriift wird, ob das 
derzeitige Netz N auch wirklich das befugte Netz ist und nicht 
ein unerlaubterweise simuliertes Netz. Es soil sich also das 
Netz N gegenuber der Mobilstation M authentisieren . Die 
Mobilstation M schickt hierbei eine Challenge 2 zum Netz, 
dieses leitet die Challenge 2 zum AUC weiter, wo daraus die 
Response 2 errechnet wird, die wiederum an das Netz N geschickt 
wird, welches Response 2 an die Mobilstation weiterleitet . Hat 
die Mobilstation die Ubereinstimmung von der selbst berechneten 
Response 2 und der erhaltenen Response 2 f estgestellt , ist 
damit -die Authentifizierung erfolgreich be en.de t . Dieses Authen- 
tif izierungspaar wird als Challenge 2/Response 2 bezeichnet. 

Bei gegenseitiger Authentisierung wirkt sich in solchen 
Systemarchitekturen nachteilig aus, dali die von M gesandte 
Challenge nicht in N, sondern nur im AUC in die Response 
umgerechnet werden kann, was unter Umstanden zu erheblichen 
Zeitverzogerungen wegen des Datentransf ers N-AUC-N und der 
online Rechenoperation im AUC fuhrt. 

Der Erfindung liegt die Aufgabe zugrunde, das bekannte 
Verfahren zur Authentif ikation von Komponenten in einem Netz, 
insbesondere in einem GSM-Netz, so zu verbessern, daB dieses 
Verfahren wesentlich beschleunigt wird. 

Zur Losung der gestellten Aufgabe ist das Verfahren dadurch 
gekennzeichnet, daB die von der Mobilstation M zuruckgesandte 




Response 1 gleichzeitig von dem Netz N als Challenge 2 
verwendet wird, was den Vorteil hat, dafi vorn AUC gleichzeitig 
mit den o*g. Challenge/Response-Paaren auch die Response 2 (als 
Antwort auf Challenge 2) errechnet und iiberniittelt wird. 
Dadurch entfallt die Zeitverzogerung, die auftreten wiirde, wenn 
N sich Response 2 erst nach Eintreffen von Challenge 2 beim AUC 
besorgen miilite. 

Damit ist vorgesehen, dafi die Mobilstation zur 
Echtheitserkennung des Netzes N nicht mehr eine Challenge 2 
intern erzeugt und an das Netz schickt, sondern dafi durch 
Gleichsetzen der Response 1 mit der Challenge 2 schon 
gegenseitige Obereinstimmung in M und N liber die erwartete 
Challenge 2 existiert. Das Netz kann somit schon eine Response 
2 erzeugen und an die Mobilstation schicken, welche diese 
Response 2 mit dem bei sich errechneten Wert vergleicht und bei 
Obereinstimmung das Netz als „echt" anerkennt . 

Wichtig hierbei ist also , daft man die von der Mobilstation an 
das Netz abgeschickte Response 1 gleichzeitig als Challenge 2 
dieser Mobilstation benutzt, welche diese aber nicht mehr in 
das Netz schickt, urn auf die Response 2 des Netzes wartet. Die 
Challenge 2 der Mobilstation kennt das Netz namlich schon 
vorher, weil die Response 2 intern bereits schon berechnet 
wurde. Damit kann das Netz bereits auch schon die Response 2 
errechnen. 

Erf indungsgemafi laufen die wechselseitige Authentif ikation von 
Mobilstation zum Netz und danachf olgend die Authentif ikation 
von Netz zur Mobilstation nun nicht mehr mit relativ hohem 
Zeitbedarf zeitlich auf einanderf olgend ab, sondern die beiden 
Echtheitspriifungen werden nun zeitlich miteinander verzahnt. 

Es wird damit eine vollstandige DatenObertragung einer PrUfzahl 
(Challenge 2) vermieden, denn erf indungsgemafi kann die 
Challenge 2 eingespart werden und mufi nicht mehr ubertragen 
werden. Die separate Obertragung der Response 2 vom Netz wird 



dadurch eingespart, als das Netz gleich bei Absendung von 
Challenge 1 auch bereits schon die Response 2 zur Mobilstation 
schickt.' BegrUndet wird dies damit, daB das Netz schon vorher 
weiB, was die Challenge 2 der Mobilstation sein wird, also kann 
das Netz auch sofort die Response 2 zur Mobilstation schicken. 
In einer einzigen Datenubertragung ubertragt das Netz also die 
Datenpaarung Challenge 1 / Response 2 zur Mobilstation. 
Damit wird erreicht, daB die Mobilstation die Echtheit von N 
bereits erkannt hat, bevor sich M gegeniiber N authentisiert 
hat. 

Hierbei gibt es zwei verschiedene Ausfilhrungen : 

In einer ersten Ausf uhrungsf orm iibermittelt das Netz an die 
Mobilstation die Challenge 1. Die Mobilstation M antwortet mit 
Response 1. Nachdem dem Netz vom AUC vorher aber bereits eine 
Vielzahl von Dreier-Datenpaketen (Triplet- Challenge 1/ 
Response 1 /^Response 2) Ubermittelt wurden, kennt das Netz N 
auch die Response 1 der Mobilstation M im voraus . Mit Kenntnis 
von Response 1 1st ihm aber auch die Challenge 2 bekannt. Die 
Mobilstation sendet nun nicht mehr die Challenge 2 zum Netz, 
sondern das Netz antwortet auf die Response 1 von M mit der 
Response 2. Diese Kenntnis ist jedoch nur dem „echten« Netz zu 
eigen; ein simuliertes,. unerlaubtes Netz hat diese Kenntnis 
nicht; damit hat sich das Netz N gegeniiber der Mobilstation 
durch die Obertragung eines einzigen Datenpaktes (Challenge 1 / 
Response 2) authentisiert und erspart sich die Obertragung des 
zweiten Datenpaketes (Challenge 2) . 

Hierbei ist vorteilhaft, daB die Response 2 eine Funktion von 
Response 1 ist. Das heifit, bei Kenntnis des 

Funktionszusammenhangs kann aus der Response 1 = Challenge 2 
die Response 2 berechnet werden. Nach dem Stand der Technik war 
die Response 2 eine Funktion von Challenge 2. Erf indungsgemaf^ 
muB Challenge 2 nicht mehr ubertragen werden, da Challenge 2 - 
Response 1 eine Funktion von Challenge 1 ist. 



Letztendlich gilt durch die Gleichsetzung von Response 1 und 
Challenge 2, dafi Response 2 auch eine Funktion von Challenge 1 
ist . 

In der ersten Ausgestaltung werden demgemaii Challenge 1 und 
Response 2 zeitlich hintereinander folgend an die Mobilstation 
M geschickt. 

In einer zweiten Ausgestaltung. ist es vorgesehen, dafi Challenge 
1 und Response 2 als ein Datenpaket zusammen an die 
Mobilstation M geschickt werden. 

Hierauf antwortet die Mobilstation mit Response 1 und jetzt 
vergleicht das Netz Response 1 mit dem erwarteten Wert von 
Response 1 und die Mobilstation vergleicht Response 2 mit dem 
intern errechneten Wert von Response 2. 

In bekannten Systemen (z..B. im GSM-Netz) ist die Lange der 
Response (32 bit) kiirzer als die Zufallszahl Challenge ( 128 
bit) . Um die Response gleichzeitig als Challenge zur 
Authentisierung von N gegenuber M mit dem gleichen Algorithmus 
A -benutzen- zu konnen, ist. es notwendig, die Lange von Response 
1 auf die von Algorithmus A erwartete Lange von 128 bit zu 
erhohen . 

Dies konnte durch vierfache Verkettung von Response 1 (4 x 32 
bit = 128 bit) oder durch vorher definiertes 

(teilnehmerindividuelles oder teilnehmerunabhangiges) Auffullen 
auf 128 bit erreicht werden. 

Vorschlage fur das teilnehmerindividuelle Auffiillen sind: 

1 . Hernahme des kompletten Rechenergebnisses von Response 
1 , bevor es zur Obertragung zur Gegenstelle auf 32 bit 

verkilrzt wurde 

2.. Auffullen mit definierten Bits aus dem in M und AUC 

bekannten Ki. 

Der Vorteil beider Ausfiihrungsformen gegenuber dem Stand der 
Technik liegt also darin, dafi der Datenverkehr zwischen dem 
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Netz und der Mobilstation einerseits und auch der Datenverkehr 
zwischen dem Netz und der AUC vereinfacht und damit 
beschleunigt wird. Nach dem Stand der Technik miissen vier 
Telegramme zwischen Netz und Mobilstation M hin und 
hergeschickt werden, . namlich Challenge 1, Response 1, Challenge 
2 und Response 2 . 

Auiierdem muft das Netz die Challenge 2 erst an das AUC 
ubermitteln und dieses mufi die Response 2 errechnen und an das 
Netz iibergeben, was mit weiterem Zeitverlust verbunden ist. 

Erf indungsgemali wird eine zeitaufwendige Online-Abf rage vom 
Netz an die AUC vermieden.. Dies erfolgt dadurch, dali bereits 
schon vor dem eigentliche Datenverkehr zur Authentif izierung 
zwischen Netz und Mobilstation die von der AUC hierfur 
benotigten Datenpakete abgerufen und beim Netz zur spateren 
Verwendung zwischengespeichert werden. 

Derartige Datenpakte (Triplets) konnen schon in grofiem 
zeitlichen Vorlauf (z. B. Stunden oder Tage vorher) vom Netz 
vom AUC abgerufen werden. Allen beiden AusfUhrungen ist hierbei 
gemeinsam,.. dafi man die Response. 1 als Challenge 2 benutzt und 
damit auf die eigentliche Obermittlung von Challenge 2 
verzichten kann. 

Mehrere bevorzugte Ausf uhrungsbeispiele werden nun anhand der 
Zeichnungen naher beschrieben. Hierbei gehen aus der Zeichnung 
und ihrer Beschreibung weitere Merkmale der Erfindung hervor. 
Es zeigen : 

Fig. 1 : Schematisiert ein Authentif izierungsverf ahren nach dem 
Stand der Technik 

Fig. 2 : Eine erste Ausf iihrungs form der Authentif izierung nach 
der Erfindung 

Fig. 3 : Eine zweite Ausf iihrungs form der Authentif izierung nach 
der Erfindung 

In der AusfUhrung nach Fig. 1 fordert. zunachst das Netz N 
Datensatze als Zweier-Pakete (Duplet-Request) von der AUC an. 
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Diese Zweier-Pakete enthalten die Datensatze fur Challenge 
1/Response 1. Sobald sich nun eine Mobilstation M gegenuber dem 
Netz N authentifizieren soli, sendet N zunachst den Datensatz 
Challenge 1 an M, welche mit Response 1 antwortet . Falls N eine 
Ubereinstimmung beider Datensatze feststellt, wurde damit die 
„Echtheit" von M gegenUber N erwiesen. Umgekehrt fordert nun M 
die Echtheitsprufung von N dadurch, dafi M an N eine Challenge 2 
sendet, welche N an AUC weiterleitet, wo daraus die geforderte 
Response 2 berechnet wird, die AUC an N weitergibt, die dieses 
wiederum an M absendet . M vergleicht nun die intern berechnete 
und die von N erhaltene Response 2 und erkennt bei 
Ubereinstimmung beider die Echtheit von N an. 

Wie bereits schon eingangs darauf hingewiesen, wird durch 
diesen vielfaltigen Datenaustausch der Verkehr zwischen M und N 
einerseits und N und AUC andererseits stark belastet und ist 
daher mit ZeitverzSgerungen behaftet. 

Hier greift das neue Verfahren in seiner ersten AusfiAhrung 
gemafi Fig. 2 ein, wo vorgesehen ist, dafi N von AUC sogenannte 
Dreier-Datensatze (Triplets) in Form von Challenge 1/Response 
1/Response 2- fordert. Hierbei ist der. Datensatz Response 2 eine 
definierte Funktion des Datensatzes Response 1 und durch einen 
Algorithmus berechenbar. Derartige Datensatze werden zeitlich 
langst vor der Abwicklung des Datenverkehrs von N mit M von AUC 
abgefordert und in Form von Vielf ach-Datensatzen in N 
gespeichert. Hierdurch entfallt die Notwendigkeit des Online- 
Datenverkehrs zwischen N und AUC, . wie es beim Stand der Technik 
nach Figur 1 notwendig gewesen war. 

Zur Authentifizierung von M gegenUber N sendet N an M zunachst 
die Challenge 1, worauf M mit der Response 1 antwortet. Nachdem 
N bereits schon den Datensatz Challenge 2 kennt, der beim Stand 
der Technik von M an N gesendet wird, reicht es aus, wenn N zur 
Authentifizierung gegenuber M nur noch den Datensatz Response 2 
an M sendet. M hat intern den Datensatz Response 2 errechnet 
und vergleicht diesen mit der von N gesendeten Response 2. Bei 
Ubereinstimmung ist damit die „Echtheit" von N gegenuber M 
erwiesen . 



In der zweiten Ausf uhrungsf orm des Verfahrens nach Figur 3 ist 
in Abweichung des Verfahrens nach Figur 2 vorgesehen, dafi N 
sofort und einmalig den Datensatz Challenge 1/Response 2 an M 
schickt. Sobald M den Datensatz Response 1 zuruckschickt ist 
damit sowohl die Authentif izierung von M gegenuber N als auch 
umgekehrt von N gegenuber M gelungen. 
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Anmelder : 
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53227 Bonn 

Paten tanspruche 

1. Verfahren und Vorrichtung zur gegenseitigen Authentisierung 
von Komponenten in einem Netz nach dem Challenge-Response- 
Verfahren, bei dem zur Authentif izierung z. B. einer 
Mobilstation gegenuber dem Netz das Netz (N) von einem 
Authentif izierungszentrum (AUC) aufgrund einer Anforderung 
mindestens ein Datenpaar (Challenge 1, Response 1) anfordert 
und den Datensatz (Challenge 1) an die Mobilstation (M) 
weiterleitet, welche aufgrund eines intern gespeicherten 
Schlussels (Ki) hieraus eine Response 1 berechnet und an das 

"Netz" (N) absendet, wobei ferner eine- Authentif izierung des - 
Netzes (N) gegenuber der Mobilstation (M) stattfindet, dadurch 
gekennzeichnet, dafi anstatt der Anforderung von einem Datenpaar 

(Challenge 1 / Response 1) vom Netz N an das AUC nunmehr ein 
Dreier-Datensatz (Challenge 1 / Response 1 / Response 2) vom 
Netz vom AUC angefordert wird und dafi die von der Mobilstation 

(M) an das Netz (N) gesandte Challenge 2 identisch ist mit der 
Response 1, und dafi das Netz (N) hierauf ein Response 2 an die 
Mobilstation (M) sendet. 

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dafi auf 
die Ubertragung von Challenge 2 verzichtet wird und dafi das 
Netz die von M zuruckgesandte Response 1 als Challenge 2 
interpretiert . 
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3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet , daB 

die Ubertragung des Datenpaares (Challenge 1/ Response 2) von 
dem Netz (N) zur Mobilstation (M) gleichzeitig in Form eines 
einzigen Datensatzes erfolgt, (Fig. 3) . 

4. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daft 
die Ubertragung des Datenpaares (Challenge 1/Response 2) von 
dem Netz (N) zur Mobilstation (M) gleichzeitig in Form eines 
einzigen Datensatzes erfolgt, (Fig. 3) . 

5. Verfahren nach einem der Anspriiche 2, 3 oder 4, dadurch 
gekennzeichnet, daB das Netz Datensatze vom 

Authentif izierungszentrum (AUC) in Form von Dreier-Datensatzen 
(Challenge 1/Response 1/Response 2) anfordert. 

6. Verfahren nach Anspruch 5, dadurch gekennzeichnet, dafi zur 
Herabsetzung der Anf orderungshauf igkeit mehrere Dreier- 
Datensatze vom AUC als Vorrat geliefert werden. 

7. Verfahren nach Anspruch 4 oder 5, dadurch gekennzeichnet, daB 
zur Verwendung der Response 1 der Mobilstation als Chalrlenge 
zwecks Authentif ikation des Netzes gegenuber der Mobilstation 
die kiirzere Lange der Response 1 auf die grofiere Lange der 
Challenge aufgefullt wird. 

8. Verfahren nach Anspruch 7, dadurch gekennzeichnet, daB das 
Auffiillen teilnehmer-individuell erfolgt und dafi die 
vollstandige Lange der Response 1 vor der Ubertragung auf die 
Gegenstelle verkiirzt wird. 

9. Verfahren nach Anspruch 8, dadurch gekennzeichnet, daB die 

Response 1 mit definierten Bits aus dem geheimen Schliissel Ki 
auf die Lange der Challenge 2 aufgefullt wird. 




10. Verfahren nach Anspruch 8, dadurch gekennzeichnet, daJ5 die 
Challenge der originalen Response 1 vor ihrer Kiirzung 
entspricht. 

11. Verwendung des Verfahrens nach einem der Anspriiche 1 - 10, 
dadurch gekennzeichnet, dali das Netz ein GSM-Netz ist. 

12. Verwendung des Verfahrens nach einem der Anspriiche 1 - 10, 
dadurch gekennzeichnet, daii das Netz ein drahtgebundenes Netz 
ist . 

13. Verwendung nach Anspruch 12, dadurch gekennzeichnet, dafi 
die einzelnen, sich gegenseitig authentif izierenden Komponenten 
in einem drahtgebundenen Netz verschiedene Kontrolleinheiten 
von Computern sind, welche sicli gegenuber einem Zentralcomputer 
authentif izieren und umgekehrt. 

14. Vorrichtung zur gegenseitigen Authentif zierung von 
Komponenten in einem Netzwerk nach einem der Anspriiche 1 -. 13, 
dadurch gekennzeichnet, dafi das AUC die vom Netz geforderten 
Dreier-Datensatze berechnet und auf Anforderung vom Netz diese 
Off-Line und zeitlich unabhangig, jedoch auf jeden~Fall vor dem 
Datenaustausch zwischen Netz und Endgerat an das Netz 
iibermittelt. 
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Zusammenf assung 

Es wird.ein Verfahren zur gegenseitigen Authentisierung von 
Komponenten in einem Netz nach dem Challenge-Response-Verf ahren 
beschrieben, bei dem das Netz (N) von einem 
Authentif izierungszentrum (AUC) einen Dreier-Datensatz 
(Challenge 1/ Response 1 / Response 2) anfordert und mindestens 
einen Datensatz (Challenge 1) an die Mobilstation (M) 
weiterleitet, welche aufgrund eines intern gespeicherten 
Schliissels (Ki) hieraus eine Response 1 berechnet und an das 
Netz (N) absendet. Zur Authentif izierung des Netzes (N) 
gegeniiber der Mobilstation (M) ist vorgesehen, dafl die an das 
Netz (N) zuruckgesandte Response 1 gleichzeitig vom Netz (N) 
als Challenge 2 interpretiert wird, und dafi das Netz (N) 
hierauf sofort ein Response 2 an die Mobilstation (M) sendet. 
Hierduch wird der Datenverkehr zwischen der Mobilstation und 
dem Netz verbessert und beschleunigt, denn es wird auf die 
Ubertragung der Challenge 2 zwischen Mobilstation und Netz 
verzichtet. Ebenso wird der Datenverkehr zwischen dem Netz und 
dem AUC verbessert, denn die Datenpaare Challenge 2 und 
Response 2 mussen nicht mehr im AUC gesondert berechnet und an 
das Netz weitergeleitet werden. 
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